Kritikus Linux kernel sebezhetőség CVE-2026-98432: Hogyan ellenőrizzük és frissítsük a VPS-ünket

2026 októberében egy kritikus sebezhetőséget, a CVE-2026-98432-t találták a Linux kernelben, amely a CVSS skálán 10-ből 9.8-as értékelést kapott. A sebezhetőség befolyásolja a bejövő IPv4 TCP kapcsolatok kezelését, és bizonyos feltételek mellett lehetővé teszi a támadó számára, hogy távolról root hozzáférést szerezzen egy szerverhez – jelszó és rendszergazdai beavatkozás nélkül.

Az alábbiakban bemutatjuk, hogy kiket érint, hogyan ellenőrizheti a szervert, és hogyan védheti meg. Minden parancsot root felhasználóként vagy a következő felhasználóval kell futtatni: sudo.

A sebezhetőség röviden

• Ami: Egy „use after free” hiba az IPv4 TCP kapcsolatokat létrehozó kódban, amelyet egy versenyhelyzet okoz. A támadó speciálisan létrehozott csomagokat küld bármely nyitott TCP portra.
• Érintett kernelek: minden verzió a Linux 4.4 óta, ami gyakorlatilag minden jelenlegi disztribúciót jelent.
• IPv6 nem érinti a fő hiba.
• Mennyire valós a fenyegetés: Antropikus kutatók egy működő sérülékenység-láncot mutattak be, amely körülbelül 53 perc alatt root hozzáférést szerzett egy engedélyezett Multipath TCP (MPTCP) protokollú szerveren. A sérülékenység-kódot még nem tették közzé.
• Támadások a vadonban: 2026. november 1-jéig nem jelentettek kizsákmányolást. Ez ok a nyugodt frissítésre, nem pedig a halogatásra.

A Go szolgáltatások külön kockázatot hordoznak. A Go 1.24 óta a Linux szerverprogramjai alapértelmezés szerint MPTCP-n keresztül figyelik a portokat, amikor a kernel ezt engedélyezi. Egy rendszergazda esetleg nem is tudja, hogy a szervere elfogadja az ilyen kapcsolatokat. A népszerű programok közül az Xray működik így – fejlesztői már kiadtak egy vészhelyzeti verziót, a v26.10.31-et, amely alapértelmezés szerint letiltja az MPTCP-t.

Minden VPS saját kernelt futtat, így a szerveren belül kell frissíteni a kernelt. A virtualizációs csomópontokat mi magunk frissítjük.

Van megoldás a rendszeredre?

Állapot 2026. november 1-jétől. Szinte naponta érkeznek javítások – a jelenlegi állapotért tekintse meg a cikk végén található linkeket.

1. lépés. Ellenőrizze, hogy melyik kernelt futtatja

Tudja meg a futó kernel verzióját:

uname -r

A verziószám önmagában semmit sem mond: a disztribúciók a javításokat a saját kernelükbe visszaportolják anélkül, hogy megváltoztatnák az alap verziót. Megbízhatóbb a kernel csomag változásnaplójának ellenőrzése – ha az említi a CVE-számot, a javítás már telepítve van.

Debian és Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debianon a uname -v A parancs a futó kernel teljes csomagverzióját is megjeleníti: hasonlítsa össze a fenti táblázattal.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ha a parancs nem ír ki semmit, a futó kernel sebezhető.

Ezután ellenőrizze, hogy mely szolgáltatások fogadnak el MPTCP-n keresztüli kapcsolatokat. Az ilyen szerverek voltak a célpontok a bemutatott támadásban:

ss -lnMp

Az üres kimenet azt jelenti, hogy nincsenek MPTCP figyelők.

2. lépés. Telepítse a javított kernelt

Készítsen biztonsági mentést vagy pillanatképet a szerveréről a kernel frissítése előtt.

Debian 12 és 13

A javított kernelek a biztonsági tárházban találhatók. Győződjön meg róla, hogy engedélyezve van:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ha nem talál semmit, add hozzá a security.debian.org a kiadásodhoz tartozó repository-t. Ezután frissítsd a rendszert:

apt update
apt full-upgrade
reboot

Ubuntu

A javított kernelek még nem jelentek meg. Frissítések keresése:

apt update
apt list --upgradable | grep linux-image

Ha a szervered Ubuntu Pro-hoz van csatlakoztatva, akkor ellenőrizheted a javítási tervet:

pro fix CVE-2026-98432 --dry-run

Miután kiadták a javítást, telepítsd és indítsd újra:

apt update
apt full-upgrade
reboot

Addig is, mindenképpen alkalmazza a 3. lépésben leírt ideiglenes védelmet.

AlmaLinux 8, 9, 10

A javított kernelek jelenleg csak a tesztrepozitóriumban érhetők el. Telepítsd őket, ha kényelmesen tudod csinálni egy éles szerveren, és a frissítés előtt mindenképpen készíts egy pillanatképet:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Újraindítás után hasonlítsa össze uname -r a fenti táblázatban szereplő verziókkal. Ha inkább nem szeretné telepíteni a tesztcsomagokat, alkalmazza az ideiglenes védelmet, és várja meg, amíg a javítás eléri a fő tárolót.

Rocky Linux és más RHEL-alapú rendszerek

Még nincs megoldás. A következővel keresheted:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Miután a javítás kiadva lett:

dnf update kernel
reboot

Frissítés után: újraindítás szükséges

Az új kernel csak újraindítás után lép életbe. Annak ellenőrzéséhez, hogy szükséges-e:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Újraindítás után ismételje meg az ellenőrzést az 1. lépéstől.

3. lépés. Ideiglenes védelem, amíg elérhetővé nem válik egy javított kernel

Ezek az intézkedések csökkentik a kockázatot, de nem helyettesítik a kernelfrissítést.

Blokkolja az indítócsomagokat

A támadás olyan TCP csomagokat használ, amelyek IPv4 fejlécében IP-opciók szerepelnek. Ezek gyakorlatilag soha nem jelennek meg a normál forgalomban, és az RFC 7126 már az eldobásukat is javasolja. Az alábbi nftables szabály az összes bejövő, opciókkal rendelkező IPv4 TCP csomagot eldobja, és nem befolyásolja az IPv6, UDP vagy ICMP protokollt. Az ufw és a firewalld mellett működik.

Telepítsd az nftables-t, ha még nincs telepítve:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Hozza létre a szabályfájlt:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ahhoz, hogy a szabály minden újraindítás után visszaálljon, hozzon létre egy systemd szolgáltatást:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Ellenőrizd, hogy a szabály be van-e töltve:

nft list table ip cve_2026_98432

Ha globális beállítással indítja újra az nftables szolgáltatást flush ruleset uralkodni, futni systemctl restart cve-2026-98432 később.

Fontos: ne alkalmazza ezt a szabályt CIPSO címkéket használó hálózatokon (SELinux vagy Smack NetLabel) – ott az IP-beállítások normál esetben használatosak. Ha a szerver más gépek forgalmát irányítja, a szabály azok IP-beállításokkal rendelkező TCP-csomagjait is eldobja.

Kapcsold ki az MPTCP-t, ha nincs rá szükséged

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ez a beállítás csak megakadályozza új MPTCP socketek létrehozásának megakadályozása. A már futó szolgáltatások továbbra is MPTCP-n keresztül figyelnek, ezért indítsa újra a listában szereplő összes szolgáltatást. ss -lnMp és győződjön meg róla, hogy a kimenete most üres.

AlmaLinuxon az MPTCP alapértelmezés szerint le van tiltva, kivéve, ha Ön engedélyezte.

MPTCP letiltása Go programokban

A Go 1.24-es vagy újabb verziójával készült szolgáltatások esetében az MPTCP-t egy környezeti változóval lehet letiltani. Például egy olyan szolgáltatás esetében, amelynek neve myservice:

systemctl edit myservice

A megnyíló fájlhoz add hozzá a következőket:

[Service]
Environment=GODEBUG=multipathtcp=0

Ezután indítsa újra a szolgáltatást:

systemctl restart myservice

Röntgen frissítése

Ha a szervered Xray-t futtat, frissítsd 26.10.31-es vagy újabb verzióra. Az előző, 26.10.29-es verziót a fejlesztők visszavonták. Ez a frissítés letiltja az MPTCP-t, de nem javítja a kernelt, így a kernel frissítése továbbra is szükséges.

Ellenőrizz még egy beállítást

Egy második, szűkebb kihasználási útvonalhoz engedélyezni kell a kérésmigrációt. Alapértelmezés szerint ki van kapcsolva – győződjön meg róla, hogy be van kapcsolva:

sysctl net.ipv4.tcp_migrate_req

A parancsnak ki kell nyomtatnia 0.

Korlátozza a szolgáltatásaihoz való hozzáférést

Zárjon be minden olyan tűzfalportot, amelynek nem kell elérhetőnek lennie az internetről. Ahol lehetséges, az adminisztratív szolgáltatásokat – SSH-t, vezérlőpultokat, adatbázisokat – csak megbízható IP-címekre nyissa meg.

4. lépés. A javított kernel telepítése után

1. Indítsa újra a szervert, és az 1. lépés parancsaival ellenőrizze, hogy a javított kernel fut-e.
2. Az ideiglenes szabályt eltávolíthatja:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ha MPTCP-re van szüksége, állítsa vissza a beállítást: törlés /etc/sysctl.d/99-disable-mptcp.conf és fut sysctl -w net.mptcp.enabled=1.

Ha valami elromlik

Ha a szervered nem indul el a kernelfrissítés után, csatlakozz a vezérlőpulton található VNC konzolon keresztül, és válaszd ki az előző kernelt a rendszerindító menüben. Ha nem vagy biztos benne, hogy ezt magad is meg tudod csinálni, vagy segítségre van szükséged a frissítéssel kapcsolatban, vedd fel a kapcsolatot a támogató csapatunkkal.